作者sachajam (子瑜我老婆)
看板PC_Shopping
標題Re: [情報] Intel嚴重漏洞 OS更新將會降低效能
時間Fri Jan 5 18:06:51 2018
假定你希望知道你老闆最近在哪裡出差，但是按照公司規定，你是無法知道老闆行
蹤的。所以你決定嘗試竊取這個秘密。
於是，你給老闆的秘書打電話說「你能不能幫我查下老闆的日程，看看老闆在哪裡出差，
再幫我去公司客戶關係管理系統裡面查下，看看那邊我名下近期需要拜訪的重點客戶，
這些可能是需要老闆幫忙拜訪的。」
秘書很敬業，先是查了老闆的日程，發現老闆在台北；然後又花了幾分鐘時間從客戶關
係管理系統裡把近期需要拜訪的台北重點客戶名單拿出來。這時，她突然反應過來你是
不應該知道老闆現在在哪裡的。於是她回電話告訴你「不好意思，我覺得你不應該瞭解
老闆去了哪裡。」
你回復道：「那好吧，忘記剛才的一切，現在我想查詢一下有哪些台北、台中、台南、
台西的重點客戶是我近期需要拜訪的？」
因為秘書剛剛已經從系統裡查到了台北對應的客戶，並且你有權限瞭解這些，她立即就回
答你：「近期需要拜訪的台北重點客戶有A,B,C…….」，幾分鐘後，她再補充：「近期需
要拜訪的台中、台南、台西重點客戶…….」
通常情況下，從系統裡面調取出這些信息需要好幾分鐘，但是秘書能立即告訴你台北的客
戶信息，於是你就知道剛才她在客戶關係管理系統裡查詢的地點是台北，所以你就可以推
測得到老闆是在台北出差。最終，秘密就這樣洩露了。
CPU執行的過程，有一個很重要的加速優化技術叫做「speculative execution」, 其實就
和以上比喻中秘書的工作方式一樣， 她只有在告訴你結果的時候，才發現你不應該瞭解
這個信息。但是此時，通過下一步執行結果的速度變化， 仍然有可能暴露重要的信息，
這就是所謂的」time based side channel attack（基於時間的旁路攻擊）」。
Intel的CPU在伺服器市場可能佔據了99%，一旦它出了問題，就意味著有很多服務
器上的敏感數據都可能洩露。 因此這是一次非常嚴重的安全事故，有可能比Heartbleed
更嚴重。
所以，似乎也解釋了為啥軟體更新後會引起性能的下降。
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 59.115.199.137
※ 文章網址: https://webptt.com/m.aspx?n=bbs/PC_Shopping/M.1515146814.A.916.html
1F：推 s0022 : 精闢 01/05 18:11
2F：推 zcbmaa : 喔喔 這篇比套餐好懂XD 01/05 18:12
3F：推 archer646 : Ok 這很科普 01/05 18:13
4F：推 Shauter : 套餐下面這篇跟寄物櫃的才比較對 結果套餐最多推 01/05 18:13
5F：推 pttresident : push 01/05 18:17
6F：推 JoyRex : 推推 01/05 18:23
7F：→ jeff40108 : amd說他們是禁止speculative reference 到kernel me 01/05 18:25
8F：→ jeff40108 : moery的 01/05 18:25
9F：→ jeff40108 : 也就是說只有intel的秘書不會查證身份就去查資料 01/05 18:26
10F：推 Windcws9Z : 壞壞總裁&Intel秘書 01/05 18:27
11F：推 Jr0000 : 會不會可以寫成電影劇本了XD intel失荊州 01/05 18:28
12F：→ StarHero : 能不能寫個三國的! 01/05 18:30
13F：推 qxxrbull : 話說目前好像都看到的是在講Meltdown的 有Spectre的 01/05 18:30
14F：→ qxxrbull : 嗎 01/05 18:30
15F：推 sova0809 : 這就是為啥他的商業用戶現在很緊張的原因 很麻煩 01/05 18:31
16F：推 jonas078 : 推 01/05 18:32
17F：推 a58524andy : pusheen 我是說push 01/05 18:33
18F：推 circums : 推推 01/05 18:33
19F：→ StarHero : 是說..如果早就被利用漏洞的話 現在只是知道怎麼死 01/05 18:33
20F：推 XD119 : 懂了 01/05 18:35
21F：推 wahaha99 : 這篇是Spectre吧? 置物櫃是Meltdown吧? 01/05 18:36
22F：→ chenszhanx : 這篇還是meltdown吧 01/05 18:38
23F：推 jior : 其實應該就像是資料在不在CPU快取的概念？ 01/05 18:39
24F：推 ronald279 : 推 01/05 18:43
25F：推 ken720331 : 推 01/05 18:49
26F：推 ken841520 : Spectre的話你不能指定要老闆的資料，只能碰運氣 01/05 18:59
27F：→ ken841520 : 亂指定來碰運氣 01/05 18:59
28F：推 sos911go : 第一屆INTEL作文大賽正式開始 01/05 19:00
29F：推 iloserSD : 猛 01/05 19:02
30F：推 kungfutofu : 感謝說明 01/05 19:08
31F：推 priestwhite : 感謝說明@@ 01/05 19:10
32F：推 allyourshit : 霸道總裁俏秘書之我想上你啊 01/05 19:15
33F：推 s800525 : 所以補漏洞的方式是搜尋前先檢查許可，才會導致性能 01/05 19:16
34F：→ s800525 : 下降嗎？ 01/05 19:16
35F：推 naya7415963 : 終於看懂了！ 01/05 19:18
36F：→ kuma660224 : 可以著重在總裁怎麼攻略俏秘書嗎? 01/05 19:18
37F：→ TFnight : 要比之前多做一件事情就是會比較慢阿 01/05 19:19
38F：推 WuGouLin : 簡單易懂 推推 01/05 19:21
39F：→ eternal3326 : 所以不是老闆的錯，是秘書的錯，intel可以解套了 01/05 19:25
40F：→ ChangWufei : 都是秘書的錯 只好把祕書抓來嘿嘿嘿了 01/05 19:26
41F：推 kme6833291 : 推啊 01/05 20:03
42F：推 Rollnmeow : 公司之外沒有祕書 所以對一般使用者有沒有大影響？ 01/05 20:05
43F：→ Rollnmeow : 瀏覽器板看到Chrome為了堵漏洞會增加記憶體用量等等 01/05 20:16
44F：推 jior : 還加啊，chrome還不夠肥這樣 01/05 20:27
45F：→ ericinttu : 逼你買RAM的計毛 01/05 20:28
46F：推 kira925 : Chrome那個應該是為了Spectre 01/05 20:34
47F：推 soane : 推！這篇更好懂！ 01/05 20:38
48F：推 likeyousmile: 推！ptt廢文海中的清流 01/05 20:56
49F：推 Francix : 推，很清楚 01/05 21:05
50F：推 ctes940008 : 推 01/05 21:13
51F：推 sophigo : 推 01/05 21:18
52F：推 eric45670 : 這篇超精簡的 01/05 21:39
53F：推 garyyeng2 : 這篇精闢～ 01/05 22:19
54F：推 s4340392 : 推 這篇很好理解 01/05 22:31
55F：推 cul287 : 難怪秘書都被就地正法 01/05 22:34
56F：推 easyman : 精闢~ 01/05 23:10
57F：推 ry3298 : 推 01/05 23:13
58F：推 csiebbk : 了解 01/05 23:35
59F：推 qxxrbull : 問個問題 如果是利用微小的時間差比對來確認並獲得 01/05 23:45
60F：→ qxxrbull : 重要資料 那麼跟HPET有關嗎？ 01/05 23:45
61F：推 randy061 : 只有我注意到 台西 嗎？ 01/05 23:52
62F：推 QuentinHu : 推 01/06 00:06
63F：推 cy4v : 推 01/06 00:08
64F：推 hihi29 : 秘書圖勒? 01/06 00:21
65F：推 lalo : 鄉民臥虎藏龍 01/06 01:27
66F：推 madstorm : 恩 01/06 01:47
67F：噓 longer100 : 現在取用別人給的例子都不用註明出處了？ 01/06 02:01
68F：推 n19605gh : 好懂 所以民主會有代價 01/06 02:14
69F：→ lalo : 看推文才知道不是原作 原PO加個出處比較好歐 01/06 02:33
71F：→ Winux : 還擅自亂改例子，板主這邊應該解M吧 01/06 02:53
72F：噓 outzumin : 抄襲喔 01/06 05:13
73F：推 erasdfer : 簡單易懂推 01/06 06:55
74F：→ JoyRex : 抄襲別人所以要補噓嗎? 01/06 07:59
75F：噓 JoyRex : 補噓 01/06 08:02
76F：噓 JoyRex : 要致敬也補下參考來源,不是的話再補回來 01/06 08:06
77F：噓 dustlike : 嘖嘖 01/06 13:41
78F：推 shelfs : 推 01/06 13:53
79F：噓 TFnight : 補 01/07 04:59
80F：推 Rusnake5566 : 鄉民平常看到簡體字就開噴了 誰敢引用阿 01/07 06:37
81F：噓 ericinttu : 真是幫忙提供一個好藉口啊 01/07 06:38
82F：噓 TFnight : 樓主補來源後，我再推回來 01/07 16:21
83F：噓 k800i13090 : 亂寫一通 我最近忙 不然讓我出馬寫一篇你們全跪 01/07 19:44
84F：→ k800i13090 : 著看螢幕 01/07 19:44
85F：噓 allnation : 01/09 13:38